Domain-Conditioned Safety in Frontier Computer-Using Agents: A 793-Episode Browser Benchmark, a Coding-Domain Cross-Reference, and a Reproducibility Audit of Recent Red-Teaming

Technische Samenvatting: Domein-geconditioneerde Veiligheid in Frontier Computer-Using Agents

Probleemstelling
Recente literatuur over Computer-Using Agents (CUA's) rapporteert hoge Prompt Injection Attack Success Rates (ASR), variërend van 42% tot 98%. Deze cijfers steunen echter vaak op verouderde model-checkpoints (bijv. GPT-4o, Claude 3.5 Sonnet) of de meest kwetsbare modellen binnen een testpanel. Bovendien worden veel hoge ASR-resultaten gedreven door door Reinforcement Learning (RL) geoptimaliseerde injectiestrings die niet publiekelijk zijn vrijgegeven. Dit creëert een reproduceerbaarheidsgat: het is onduidelijk of de technieken beschreven in deze papers nog steeds effectief blijven tegen huidige frontier-modellen wanneer ze worden gereproduceerd als menselijk leesbare, handmatig vervaardigde templates. Daarnaast is het onbekend of veiligheidsverharding in één domein (bijv. web browsen) generaliseert naar andere agent-modaliteiten (bijv. coderen).

Methodologie
De auteurs introduceren CUA-HANDCRAFTED, een publieke adversariële benchmark ontworpen om frontier CUA's te evalueren met behulp van niet-RL, handmatig vervaardigde aanvalstemplates.

• Benchmark Design: De suite bestaat uit 793 episodes over 24 multi-step webtaken op 8 zelf-gehoste sites (bijv. Banking, HR Portal, CRM). Het maakt gebruik van 56 aanvalstemplates verspreid over 8 categorieën (bijv. ongeautoriseerde actie, data-exfiltratie, doel hijacking) en 5 diepteniveaus.
• Aanvalsdefinitie: "Hand-crafted" (handmatig vervaardigd) is strikt gedefinieerd als menselijk leesbare proza-strings geschreven op basis van de tekstuele beschrijvingen in recente red-teaming papers (RL-Hammer, WASP, TRAP, MUZZLE). Deze templates bevatten geen beloningssignalen of geautomatiseerde optimalisatiesloops.
• Evaluatietargets: De primaire evaluatietargets richten zich op de nieuwste frontier-modellen: Claude Sonnet 4.6 en GPT-5.4.
• Metrieken: De studie gebruikt AgentDojo-compatibele metrieken: Benign Utility (BU), Utility-under-Attack (UuA) en Attack Success Rate (ASR). Een "canary"-detectiesysteem (gebruikmakend van RFC 2606 .test URL's, specifieke ID-patronen of syntactische markers) verifieert of een agent een geïnjecteerd doel heeft uitgevoerd.
• Ablatie & Cross-Domain: De studie bevat prompt-ablatie (het verwijderen van veiligheidsinstructies) om te bepalen of weerstand op prompt-niveau of gewichts-niveau ligt. Daarnaast introduceren zij SKILLBENCH, een zustersite-benchmark voor coding agents, om te testen of veiligheidsverharding over modaliteiten heen wordt overgedragen.
• RL Baseline: Een Fase 10 experiment voert een adaptieve random-suffix RL-attacker uit (gebaseerd op AutoInject) om een upper-bound plafond vast te stellen voor RL-gebaseerde aanvallen binnen een beperkt budget.

Belangrijkste Resultaten

1. Zero ASR op Frontier Browser Agents: Tegen Claude Sonnet 4.6 en GPT-5.4 bereikten handmatig vervaardigde multi-step aanvallen 0/140 succes (0% ASR). De 95% Clopper-Pearson upper bound is 2,60%. De enige niet-nul hand-crafted ASR kwam voor bij single-step Denial-of-Service (DoS) aanvallen op legacy modellen (6,16% op Sonnet 4, 6,88% op GPT-4o).
2. Weerstand zit in de Gewichten: Prompt-ablatie experimenten (het verwijderen van veiligheidsinstructies of het toevoegen van "behulpzame" instructies) behielden een 0% ASR. Dit geeft aan dat de weerstand tegen browser-domein injectie een eigenschap is van de modelgewichten, en niet van de systeemprompt.
3. RL Optimalisatie is de Kloof: Terwijl hand-crafted templates faalden, faalde een RL-gebaseerde attacker baseline (binnen een budget van $25) ook om een succesvolle string te vinden (0/50). De auteurs beweren dat de hoge ASR in de literatuur (42–98%) toe te schrijven is aan RL-ontdekte, off-distribution formuleringen in plaats van de aanvalscategorieën zelf. Benchmarks die de geoptimaliseerde strings niet vrijgeven, zijn niet reproduceerbaar.
4. Domein-geconditioneerde Veiligheid (De Coding Gap): Dezelfde modelgewichten (Sonnet 4.6, GPT-5.4) die browser-injectie met 0% weerstonden, waren zeer kwetsbaar in de SKILLBENCH coding-agent benchmark. Hand-crafted skill-injection aanvallen bereikten een 100% ASR op Sonnet 4.6 en een 79% ASR op GPT-5.4. Dit demonstreert dat veiligheidsverharding oppervlakte-specifiek is: het browser-domein is zwaar gered-teamed en verhard, terwijl het coding-domein kwetsbaar blijft.
5. Reproduceerbaarheidsaudit: Een audit van zes recente CUA red-teaming papers vond dat vier papers verouderde target-modellen koppelden aan niet-vrijgegeven geoptimaliseerde strings, waardoor hun headline ASR-cijfers permanent onreproduceerbaar zijn.

Betekenis en Claims
Het paper betoogt dat de huidige hoge ASR-cijfers in de literatuur grotendeels artefacten zijn van RL-geoptimaliseerde tekst en specifieke modelgeneraties, in plaats van inherente kwetsbaarheden in de aanvalscategorieën zelf. De auteurs claimen dat:

• Frontier veiligheid is domein-geconditioneerd: Een model kan "veilig" zijn in een browsercontext terwijl het "onveilig" is in een codingcontext. Veiligheidsclaims moeten het oppervlak specificeren (bijv. "browser injectie" versus "coding skill injectie").
• Reproduceerbaarheid vereist artefacten: Het rapporteren van technieken zonder de geoptimaliseerde injectiestrings (of het attacker-model) vrij te geven, maakt gepubliceerde ASR-cijfers onreproduceerbaar.
• Hand-crafted benchmarks dienen als een vloer: CUA-HANDCRAFTED biedt een baseline voor menselijk ontdekbare foutmodi. Als een model hand-crafted aanvallen weerstaat, heeft het de meest toegankelijke foutmodi gesloten, hoewel het nog steeds kwetsbaar kan zijn voor RL-geoptimaliseerde aanvallen.

De auteurs concluderen dat toekomstige CUA veiligheidsrapportage ASR als een vector over oppervlakken moet behandelen, expliciet de target checkpoints moet benoemen en geoptimaliseerde strings of attacker-modellen moet vrijgeven om reproduceerbaarheid te garanderen. Zij beweren niet dat CUA's onaanvalbaar zijn, maar dat de "kloof" tussen de huidige veiligheid en de hoge ASR in de literatuur wordt gedefinieerd door RL-optimalisatie en ongelijke domeindekking.